kas yra atsargos pareiga pagal nis2 paprastais žodžiais

Dešimt konkrečių priemonių kibernetinėms rizikoms valdyti

Priežiūros pareiga reiškia, kad organizacija imasi tinkamų priemonių savo tinklo ir informacinėms sistemoms apsaugoti, ir gali parodyti, kokios priemonės tai yra. Tai nėra vienas dokumentas ar vienas pasirinkimas, bet dešimties temų rinkinys, kuris kartu sudaro pagrindą: nuo rizikos analizės ir politikos iki santykio su tiekėjais, šifravimo, prieigos kontrolės ir to, kas atsitinka incidento metu. Kas yra atsakingas pagal Kibernetinio saugumo įstatymą, turi kažką suorganizavęs dėl kiekvienos iš tų dešimties temų — ir tai ne tik popierinėje formoje, bet ir praktikoje.

Svarbi detalė: priežiūros pareiga nėra nuolatinis sąrašas su privalomais techniniais produktais. Žodis "tinkamas" yra lemiamas — kas tinka didelei energetikos įmonei, atrodo kitaip nei tai, kas tinka vidutinio dydžio programinės įrangos tiekėjui. Organizacijos dydis, duomenų jautrumas ir rizika, kurią gali sukelti gedimas ar incidentas, vaidina svarbų vaidmenį. Peržvalga apie kurias dešimt priemonių turiu imtis pagal nis2 parodyti, kaip tie temos atrodo turinio požiūriu. Kas jau dirba su valdymo sistema, pavyzdžiui, ISO/IEC 27001, daug šių temų atpažįs iš Priedo A kontrolės priemonių — nors tai pats savaime nėra garantija, kad įvykdyta priežiūros pareiga, kaip taip pat paaiškintas adresu ar man vis dar reikalinga iso 27001 jei jau atitinku nis2.

Iš kur tai seka: NIS2 21 straipsnis ir Kibernetinio saugumo įstatymas

Priežiūros pareiga ir dešimt priemonių aprašytos NIS2 direktyvos 21 straipsnio 2 dalyje; Kibernetinio saugumo įstatymas šią pareigą perimplementuoja į Lietuvos teisyną organizacijoms, kurios patenka į jo taikymo sritį. Kita to, NCSC pateikia informaciją apie tai, kaip priežiūros pareiga ir pranešimo pareiga praktiškai susijusios. Tai, ar organizacija pati turi vykdyti šią pareigą, priklauso nuo sektoriaus ir dydžio — tai galima nustatyti naudojantis kaip žinau, ar mano įmonė patenka į nis2.